近年、デジタルセキュリティの重要性が一段と高まっています。特に、個人情報の保護やオンラインでの安全確保を目的として、多要素認証（MFA）の普及が進んでいます。多要素認証とは、パスワードだけでなく、ユーザー自身が持つ何か（例えば携帯電話）、またはユーザー自身の特徴（例えば指紋認証）を使って本人確認を行う認証方式のことです。多要素認証は、不正アクセスによる被害を効果的に防ぐ手段として広く利用されています。
しかし、完璧なセキュリティシステムは存在しません。MFAもまた、巧妙なハッキング手口によって突破されることがあります。例えば、2020年には、ある大手SNSプラットフォームがハッキングされ、多数の著名人のアカウントが乗っ取られる事件が発生しました。この事件では、MFAが設定されていたにも関わらず、ハッカーはフィッシング攻撃を通じてMFAを回避することに成功しました。
このような事例からもわかるように、MFAは重要なセキュリティ対策である一方で、それをかいくぐるハッキング手口も進化しています。この記事では、MFAでよく使われる認証方式とMFAを突破するハッカーの手口に焦点を当てて紹介します。
MFAの種類とその効果
多要素認証（MFA）に利用される認証情報は大きく分けて知識情報、所持情報、生体情報の3種類に分類されます。それらを組み合わせて認証することを多要素認証（MFA）と呼びます。認証方式はいくつか種類があり、それぞれに利点と欠点があります。ここでは主要な4つの認証方式を詳しく見ていきましょう。
SMSによる認証
最も一般的なMFAの形式は、SMSで一時的に有効なコードを送信し使用する方法です。この手法の利点は、ユーザーが特別なアプリをインストールする必要がなく、ほとんどの携帯電話で利用可能である点です。しかし、SMSは暗号化されていないため中間者攻撃のほか、後述のSIMスワップ攻撃のように、SMSメッセージがインターセプトされるリスクがあります。
アプリ（Google Authenticatorなど）を使用した認証
Google AuthenticatorやOkta Verifyなどのアプリを使用した認証は、時間に基づく一回限りのパスワード（TOTP）を生成します。この方式はSMSよりも安全とされており、インターネット接続が不要であるため、より広範囲での使用が可能です。ただし、スマートフォンの紛失やアプリの脆弱性がセキュリティリスクとなることがあります。
ハードウェアトークンによる認証
ハードウェアトークン（例えばYubiKey）を使用した認証はセキュリティレベルが高いとされています。このデバイスは物理的なキーによって認証を行うため、ハッキングのリスクが低くなります。しかし、コストが高いことや、トークンを紛失した場合のリスクが欠点として挙げられます。
生体認証
指紋、顔認識、虹彩スキャンなどの生体認証技術は、個々人の独特な身体的特徴を利用しています。これらの技術は、偽造や盗難のリスクを軽減し、ユーザーの利便性を向上させます。たとえば、スマートフォンのロック解除や銀行取引においてすでに広く使用されています。
ハッキング手口の解析
フィッシング攻撃
MFAを破る最も一般的な手法はフィッシングです。主な具体例として、攻撃者はメールを通じてユーザーに偽のログインページへのリンクを送り、認証情報とともにMFAコードを入力させます。このコードを得ることで、攻撃者は正規のユーザーであるかのようにアカウントにアクセスします。
SIMスワップ
SIMスワップは、攻撃者が被害者の電話番号を自分のSIMカードに移行させる手口です。例えば、ハッカーが携帯電話会社のカスタマーサポートを騙し、ターゲットの電話番号を自分のSIMカードに転送します。これにより、そのターゲットのSMSを通じて受信されるMFAコードを入手し、アカウントに不正アクセスを成功させます。
認証アプリの脆弱性利用
認証アプリもまた、攻撃の対象になり得ます。例として、2021年に発覚したセキュリティの脆弱性では、一部のアプリがマルウェアに感染することで、生成されるMFAコードが漏洩する事態が起こりました。この脆弱性を利用し、攻撃者は複数のアカウントを乗っ取ることに成功しました。
未来の認証技術とMFAの進化
テクノロジーの進化に伴い、MFAのほかにも様々な認証方法が提唱されています。ここでは、注目されているいくつかの認証技術を簡単に紹介します。
行動認証
この新しい形式の認証は、ユーザーの行動パターン（キーストロークのダイナミクス、マウスの動きなど）を分析します。異常な行動が検出されると、システムは追加の認証を要求することで、不正アクセスを防ぎます。この技術は、セキュリティをさらに強化するために開発が進められています。
分散型ID（DID）
ブロックチェーン技術を利用した分散型IDは、ユーザーが自身の身元情報を完全に制御下に置くことを可能にします。このシステムは、中央の機関に依存せずに、デジタルIDを安全に管理し、様々なサービスでの認証に利用できます。
これらの技術は、開発が進めば、よりセキュアでユーザーフレンドリーな認証システムの実現に貢献するでしょう。
まとめ
MFAは、オンラインセキュリティの強化に欠かせない技術です。MFAの特徴と攻撃手口について理解を深めていただけましたでしょうか。MFAの種類や実装方法を選択する際は、セキュリティと利便性のバランスを考慮することが重要です。
MFAを含めた認証情報管理をセキュアにする、パスワードマネジメントサービスの詳細はこちらから！
またIIJ Americaでは、サイバーセキュリティに関するアセスメント、コンサルティング、ソリューションやサービスの提案・導入を行っています。セキュリティ対策のご相談は、いつでもお気軽にWebフォームからお問合せください！